Hackers achter de record-inbraak bij Binance zijn begonnen een groot deel van de gestolen XRP om te zetten in bitcoin, volgens blockchain-analysebedrijf Elliptic, waarvan de laatste update loopt tot en met vrijdag. Ongeveer 42 miljoen XRP — zo'n $50 miljoen — is al omgewisseld, waarvan het grootste deel via THORChain, een gedecentraliseerd cross-chain swapnetwerk dat native assets tussen blockchains uitwisselt zonder dat een centrale bewaarder daarbij betrokken is.

De omzettingen brachten de bitcoin die uit andere gestolen assets van de hack afkomstig was, bijna van de ene op de andere dag omhoog naar ongeveer 1.650 BTC, ter waarde van circa $124 miljoen, meldde Elliptic. Het grootste deel van die sprong kwam via de XRP-route. Ongeveer 192 miljoen XRP, ter waarde van grofweg $226 miljoen, ligt nog onomgewisseld op adressen die met de diefstal in verband worden gebracht.

De XRP maakte deel uit van de geldafvoer van 29 oktober die Binance later op $6,34 miljard schatte. Tussen 20:05 en 20:09 UTC die dag stuurden vijf internetverbonden hot wallets 233,46 miljoen XRP naar een door de aanvaller gecontroleerd adres. De FBI schrijft de campagne toe aan de Noord-Koreaanse groep TraderTraitor, een actor die Amerikaanse autoriteiten eerder in verband brachten met een reeks diefstallen met hoge opbrengsten bij exchanges en bridges. Binance heeft inmiddels in fasen de opnames heropend, zegt ongeveer $2,85 miljard bevroren of onderschept te hebben, en dekt de verliezen van klanten uit eigen middelen.

Hoe de gestolen XRP begon te bewegen

De gestolen XRP bleef aanvankelijk stil liggen. Vroeg op 2 november, tussen 02:12 en 04:00 UTC, verplaatste de hele voorraad van ruim 233 miljoen XRP zich naar zes nieuwe adressen, waar het bleef liggen tot 5 november, aldus Elliptic. Vanaf de middag van 5 november begonnen twee van die zes adressen XRP door te sturen naar tientallen nieuwe accounts die de fondsen omwisselden, grotendeels via THORChain in bitcoin. Een klein bedrag aan ether ging die avond eveneens via THORChain naar bitcoin.

De belangrijkste bitcoin- en etherposities uit de diefstal — de grootste pools — zijn nog steeds niet verplaatst, aldus Elliptic. Het patroon lijkt op wat het bedrijf zag na de Bybit-hack — de inbraak van februari 2025 waarbij ongeveer $1,5 miljard aan ether van de exchange werd afgetapt en die ook door de FBI aan Noord-Koreaanse hackers werd toegeschreven: eerst inwisselbare en middelmatig liquide tokens omzetten in bitcoin en later via OTC-makelaars proberen uit te kassen.

De voetafdruk van de witwasoperatie is al enorm. Sinds de diefstal heeft Elliptic meer dan 20.000 wallets op 16 blockchains geteld, ten minste 36 diensten en ten minste 65.000 transacties — grofweg elke 30 seconden een nieuwe wallet en elke 10 seconden een transactie. Ongeveer $3,11 miljard ligt nog op adressen die met de inbraak in verband worden gebracht, vooral in ether en bitcoin, terwijl er naar alle waarschijnlijkheid tot nu toe slechts een verwaarloosbaar bedrag is uitgekast.

Waarom XRP en bitcoin hier belangrijk zijn

Uitgevers kunnen veel stablecoins bevriezen; XRP kunnen ze niet op dezelfde manier bevriezen, en bitcoin evenmin. Nadat Tether en Circle op 29 oktober grote hoeveelheden stablecoins hadden geblokkeerd, gaf de aanvaller prioriteit aan assets die buiten die noodschakelaar vallen. Het omzetten van XRP in bitcoin verlengt dezelfde logica: zodra bitcoin versnipperd is over nieuwe adressen, wordt het veel lastiger terug te vorderen.

Alle gestolen SOL — ongeveer $87 miljoen tegen de waarderingen van Elliptic — is al omgewisseld, gebrugd of gemixed, waarvan een groot deel eindigde als bitcoin. Ook het grootste deel van de vroege Tron-witwas — ongeveer $220 miljoen in TRX — heeft zijn loop genomen; Bitcoin Magazine signaleerde die stroom bij de berichtgeving over de stille opheffing van de T3 Financial Crime Unit vóór de hack. Slechts kleine delen van de hoofdpools aan ether en NEAR zijn verplaatst.

Een deel van de omgezette bitcoin is terechtgekomen in coinjoins in de stijl van Wasabi, een mixtechniek die munten van veel gebruikers samenvoegt om herleidbare verbanden te doorbreken — ongeveer 33 BTC, oftewel $2,5 miljoen, sinds 1 november — terwijl ongeveer $1,1 miljoen aan ether en SOL naar de Privacy Cash-pool stroomde voordat die dienst stortingen pauzeerde. Elliptic zei dat het tempo wijst op conventionele automatisering in plaats van een AI-agent die in realtime beslissingen neemt: vaste tijdstippen, vaste bedragen, blinde herhalingen en nieuwe tactieken die uren na elkaar werden ingevoerd.

Amerikaanse banktoezichthouders hebben na de inbraak al contact opgenomen met kredietverstrekkers. Voor de bitcoinmarkten is de directere vraag hoeveel van de resterende ~192 miljoen XRP — en uiteindelijk de geparkeerde ether — nog in BTC wordt omgezet voordat iemand tot uitbetaling overgaat.

De vraag is nu of de operators van THORChain en andere bridges de gepubliceerde aanvalsadressen snel genoeg blijven blokkeren om de pijplijn van XRP naar bitcoin te vertragen, of dat de rest van de voorraad hetzelfde pad van de ene op de andere dag volgt dat de eerste $50 miljoen al nam.

Dit artikel is gebaseerd op een bericht dat voor het eerst verscheen op Bitcoin Magazine en is geschreven door Micah Zimmerman.